CVE-2026-71231

Nome do Software Vulnerável e Versões Afetadas IOTSmartHome (versões afetadas não especificadas)

Descrição A função checkCookie() no endpoint 'gui/login.php' é suscetível a injeção de SQL. O problema ocorre quando o sistema processa o cookie lastLogin usando a função safe decode(), que realiza a decodificação base64 segura para URL sem sanitizar o valor resultante antes de incorporá-lo em uma consulta SQL. Um invasor não autenticado pode fornecer um payload codificado em base64 dentro do cookie lastLogin para ignorar a autenticação ou usar injeção baseada em UNION para extrair dados sensíveis, como credenciais de usuário.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, restrinja o acesso ao endpoint 'gui/login.php' ou desabilite o uso do cookie lastLogin.